Hvorfor er rapportering om styring og kontroll viktig?

Departementet har behov for informasjon om virksomhetens opplegg¹³ for styring- og kontroll for å ivareta sitt overordnede ansvar for styring og kontroll i underliggende virksomhet. Virksomheten skal kunne dokumentere en forsvarlig internkontroll og gi melding til departementet om hendelser eller andre forhold som har konsekvenser for måloppnåelsen eller for evnen til måloppnåelse. Det er naturlig å formidle denne type styringsinformasjon både i årsrapporten og i den øvrige rapporteringen. Den bør også inngå i styringsdialogen, avhengig av detaljeringsbehovet.

DFØ mener at denne delen av årsrapporten skal gi departementet et reelt bilde av status på opplegget for styring og kontroll i virksomheten. Samtidig er det viktig at denne delen retter departementets oppmerksomhet mot eventuelle forhold som virksomheten og departementet trenger å ha nærmere dialog om. Denne dialogen, der detaljene drøftes, er en essensiell del av departementets overordnede kontrollansvar knyttet til statsrådens konstitusjonelle og parlamentariske ansvar.

Økonomireglementets §§4 og 14 fastsetter noen overordnede rammer og krav for statlige virksomheters styring og intern kontroll i virksomheten. Disse kravene ligger til grunn for det opplegget for styring og kontroll som den enkelte statlige virksomheter har etablert internt.
De overordene kravene i reglementet er utdypet i bl.a. bestemmelsene kapittel 2. Her framgår bl.a. et krav om tilpasning av styring og kontroll i virksomheten til egenart, risiko og vesentlighet. Samtidig fastsetter bestemmelsene kapittel 1 «om departementets styring av virksomheter» at det er departementet som har det overordnede ansvar for virksomhetens styring og kontroll. Ansvaret omfatter blant annet at virksomheten

• gjennomfører aktiviteter i tråd med departementets fastsatte mål og prioriteringer
• bruker ressurser effektivt
• rapporterer relevant og pålitelig resultat- og regnskapsinformasjon
• har forsvarlig intern kontroll

Det er ikke meningen at departementet skal lage egne internkontrollsystemer for en underliggende virksomhet. Departementet fastsetter rammene for styringen, men baserer sin kontroll på underliggende virksomhets egne styrings- og kontrollsystemer. Hvis denne innretningen på departementets kontroll skal brytes, må det være gode grunner. Disse må kommuniseres tydelig.

Hva avgjør om det er behov for tettere oppfølging av virksomhetens styring og kontroll i enkelte situasjoner eller forhold? De viktigste faktorene er virksomhetens egenart og løpende vurdering av risiko og vesentlighet kombinert med løpende statusrapportering.

Innholdet i del IV av årsrapporten bør på lik linje med kravene til rapportering i tildelingsbrevet speile disse vurderingene. Det er ikke meningen at årsrapporten skal redegjøre for disse forholdene i detalj, men gjengi en overordnet vurdering av status og gi signal om viktige temaer som inngår i dialogen med departementet.

Hva bør rapporteringen om styring og kontroll inneholde?

Departementet vil sjelden ha behov for en fullstendig og detaljert redegjørelse om status for styring og kontroll i virksomheten hvert år. Det er tenkt at virksomheten skal gi en overordnet vurdering med et reelt bilde av status på opplegget for styring og kontroll i virksomheten. Samtidig forutsettes det at virksomheten gjør oppmerksom på forhold departement bør kjenne til. Dette er viktig for styringsdialogen og at departementet kan ivareta sitt overordnede ansvar.

Det kan være behov for å formalisere og dokumentere status og utvikling for styring og kontroll i virksomheten. I slike tilfeller er det på sin plass med nærmere omtale og vurdering av utvalgte forhold. Dette gjelder forhold departementet er særskilt opptatt av, eller forhold virksomheten mener er vesentlige for departementets overordnede ansvar.
DFØ anbefaler følgende innhold for årsrapportens del IV:

Hvordan utforme redegjørelsen for styring og kontroll?

Økonomiregelverket fastsetter krav til virksomhetens styring og internkontroll, og til rapportering på dette i årsrapporten. Men regelverket sier ikke spesifikt hva som skal rapporteres, eller hvordan. Dersom departementet har fastsatt en bestemt struktur og et innhold for del IV av årsrapporten, følges dette oppsettet. Dersom departementet ikke har fastsatt strukturer og innhold, kan virksomheten selv velge.

DFØ foreslår at del IV i utgangspunktet utformes som en tilstandsrapportering. Til sammen skal rapporten oppsummere virksomhetens evne til å sikre måloppnåelse på en tilfredsstillende måte på kort og lang sikt. Rapporteringen skal baseres på gjennomgang av systemer, prosesser, rutiner og tiltak. Stikkord i denne sammenhengen er eksistensen av rutiner, ansvarsavklaringer og retningslinjer mv., kjennskap til disse og erfaringer fra bruk av dem.

Del IV vil variere i omfang fra virksomhet til virksomhet, og fra år til år, avhengig av hva som er vesentlig informasjon for departementet det aktuelle året.

Virksomhetens overordnede vurdering av opplegget for styring og kontroll

Den overordnede vurderingen oppsummerer tilstanden for styring og kontroll i virksomheten. Følgende momenter vil normalt inngå:

• om fastsatte mål og resultatkrav nås
• om ressursbruken er effektiv
• om lover og regler overholdes
• om resultat- og regnskapsinformasjonen er relevant og pålitelig
• om vesentlig styringssvikt, feil og mangler avdekkes og håndteres
• om internkontrollen er dokumentert, rutiner er kjent og erfaringer viser at disse fungerer i tråd med forventningene

Dette kan for eksempel gjøres ved å bruke kravene til styring og kontroll i bestemmelsene kapittel 2 som en sjekkliste. DFØ foreslår at virksomheten viser til grunnlaget for erklæringen som avgis. Dette kan for eksempel være overordnede risikovurderinger. Det bør også komme fram hvem som har vært involvert i disse, og/eller rutiner for årlig gjennomgang av støttesystemer i ledergruppen, internrevisjonsrapport og lignende.

Nærmere omtale av vesentlige forhold ved styring og kontroll:

Departementet har vanligvis ikke behov for detaljerte beskrivelser av virksomhetens systemer, rutiner og prosesser i årsrapporten. Innholdet og detaljeringsgraden i årsrapporten må sees opp mot øvrig rapportering og styringsdialogen med departementet. Departement skal vurdere detaljeringsgraden i del IV (se krav til årsrapporten i bestemmelsene 1.6.1., bl.a. i forbindelse med utformingen av tildelingsbrevet). DFØ mener departementet bør involvere virksomheten i denne vurderingen. Dette vil særlig gjelde de forholdene som departementet ønsker en nærmere redegjørelse for.

Virksomheten må på sin side vurdere i hvilken grad den skal redegjøre i detalj for tiltak som er iverksatt, eksempelvis for å korrigere styringssvikt, feil eller mangler. Alternativt kan detaljer inngå i øvrige rapportering til departementet, eller i oppfølgingen av årsrapporten.

Hvilke forhold det er hensiktsmessig for et departement å be om en nærmere redegjørelse for i årsrapporten, er sterkt avhengig av egenart, risiko og vesentlighet. DFØ foreslår at departementet vurderer behovet for felles krav for sine underliggende virksomheter. Eksempler på forhold DFØ mener det er aktuelt å vurdere i denne sammenheng, er:

• virksomhetens system for risikovurderinger og bruk av dette i virksomhetsstyringen
• årets fellesføring
• særlig rapporteringsplikt etter lov/regelverk, for eksempel tall for likestilling og diskriminering
• informasjonssikkerhet knyttet til drift og utvikling av digitale tjenester

Statlige virksomheter er pålagt rapporteringsplikt utover krav i økonomiregelverket, for eksempel etter pliktene i likestillingsloven, diskrimineringsloven og diskriminerings- og tilgjengelighetsloven for statlige virksomheter. Denne plikten omfatter forhold som i sin natur er vesentlige for styring og kontroll i en statlig virksomhet. I tråd med intensjonene om å omtale vesentlige forhold i årsrapporten, mener DFØ at virksomhetene bør bruke årsrapporten til å synliggjøre og dokumentere at slike forhold er drøftet.

Behovet for en fullstendig redegjørelse utover denne overordnede synliggjøringen vil avhenge av virksomhetens egen vurdering av hva som er vesentlig, eksempelvis i samråd med et ombud. Vesentlighetskriteriet vil her knytte seg til mangler eller utfordringer som kan påvirke evnen til å oppnå fastsatte mål og resultatkrav.

DFØ anbefaler at departement og virksomhet sammen avklarer om detaljerte oppstillinger og rapporteringer av tilstand på likestilling og lignende skal rapporteres utenom årsrapporten, eventuelt som vedlegg. Departementet bør vurdere å etablere et felles rapporteringsløp for sine underliggende virksomheter.

DFØ anbefaler at virksomheten rapporterer om:

• iverksettelse/gjennomføring av vesentlige endringer i opplegget for styring og kontroll
• avdekning av vesentlig styringssvikt, feil og mangler og tilhørende iverksettelse/gjennomføring av tiltak
• oppfølgning av revisjonsmerknader fra Riksrevisjonen
• oppfølgning av evalueringer, tilsynsrapporter og pålegg fra tilsynsmyndigheter
• sentrale fakta om personellmessige forhold, for eksempel bemannings-, kapasitets- og kompetansesituasjonen i virksomheten
• sentrale fakta om forvaltningen av virksomhetens eiendeler, innkjøpsrutiner, informasjonssikkerhet og lignende

Virksomheten må på sin side vurdere i hvilken grad den skal detaljere denne typen forhold i årsrapporten. DFØ foreslår at redegjørelsene har overordnet karakter og danner grunnlag for den videre dialog mellom departementet og virksomheten.

Fotnoter

¹³ _{Virksomhetens opplegg for styring og kontroll omfatter systemer, rutiner og prosesser knyttet til bl.a. mål og resultatstyring, risikostyring og internkontroll, budsjett- og regnskap, prosjekt- og porteføljestyring, investeringsoppfølging og evalueringer.}